活动目录配置完整版

目录

一、活动目录配置基本知识....................................................

1、活动目录的重要概念………………………………………

2、活动目录安装前准备………………………………………

3、活动目录安装………………………………………………

二、windows2000/2003活动目录配置…………………………

1、windows2000活动目录配置………………………………

2、windows2003活动目录配置………………………………

一、活动目录配置基本知识

1、活动目录的重要概念

（1）目录服务是一个什么东西

一个目录就是一个用于储存用户感兴趣对象信息的信息源。如一个电话号码目录储存了有关电话用户的信息。在一个文件系统中，目录就储存了有关文件的信息。

在一个分布式计算系统中或是一个公共计算机网络（如Internet）中，就有许多用户感兴趣的对象，如打印机、传真服务器、应用程序、数据库以及其他用户。用户想找到和使用这些对象，而管理人员则想管理对这些对象的使用。

在此文档中，术语目录和目录服务指在公共和私人网络中的目录。目录服务与目录的不同在于，它既是目录的信息源，而它的服务又可以使用户得到和利用信息。

（2）什么是活动目录

活动目录是Windows 2000 Server的目录服务。它扩展了以前基于Windows的目录服务，还加入了一些全新的特点。活动目录是安全的、分布式的、可分区的及可复制的。它设计成为可以在任何规模安装下良好工作，从带有几百个对象的单一服务器到成千个服务器和上百万个对象。活动目录加入了很多新的特性，使得在大规模信息的管理及在其中漫游变得很简单，为管理者和终端用户都节省了时间。

（3）为什么需要目录服务

目录服务是扩展的计算机系统的最重要组成元素之一。使用者及管理者经常不知道他们感兴趣对象的精确名字。他们可能知道对象的一个或更多属性，而且可以查询目录来得到符合属性的对象列表，例如："查找在26楼中的所有双工打印机。"目录服务允许用户按指定属性查找任何对象。

目录服务可以：

∙提高管理者定义的安全性来保证信息不受侵入者的损害。

∙将目录分布在一个网络中的多台计算机上。

∙复制目录使得更多用户获得它并且减少错误。

∙分配一个目录于多个存储介质中使得可以存储规模非常大的对象。

目录服务既是管理工具又是终端用户工具。当网络中对象的数目增加时，目录服务变得很重要。目录服务是一个大的分布系统的转换中心。

①重要概念

用来描述活动目录的概念和术语中有些是新的，而另外一些则不是。不幸的是，一些已经采用一段时间的术语被用来表明不止一个特定事物。在继续前进之前，理解下面这些概念和术语在活动目录背景中如何定义是重要的。

②范围

活动目录的范围是巨大的。它可以包括所有单一的对象（打印机、文件或用户），所有的服务器及在一个单一广域网中的所有域。下面的一些术语不仅可应用于单一网络，因此意识到活动目录是可以伸缩的，从一台单一的计算机，到一个单一的计算机网络以及很多结合在一起的计算机网络是很重要的。

2、活动目录安装前准备

理解了活动目录的原理之后，现在我们就可以进行活动目录的安装与配置了，活动目录的安装配置过程并不是很复杂，因为WIN2K中提供了安装向导，只需按照提示一步步按系统要求设定即可。但安装前的准备工作显得比较复杂，只有充分理解了活动目录的前提下才能正确地安装配置活动目录。下面我就详细地介绍一下活动目录的安装与配置及其准备了。

（1）活动目录的安装前的准备

在前面我们知道“活动目录”是整个WIN2K系统中的一个关键服务，它不是孤立的，它与许多协议和服务有着非常紧密和关系，还涉及到整个WIN2K系统的系统结构和安全。安装“活动目录”不是安装一般Windows组件那么简单，在安装前要进行一系列的策划和准备。否则轻则根本无法享受到活动目录所带来的优越性，重则不能正确安装“活动目录”这项服务。

①首先在安装活动目录之前，必须保证已经有一台机器安装了WIN2K Server

或者Advanced Server，且至少有一个NTFS分区，而且已经为TCP/IP 配

置了DNS协议，并且DNS服务支持SRV记录和动态更新协议。

②其次是要规划好整个系统的域结构，活动目录它可包含一个或多个域，如果

整个系统的目录结构规划得不好，层次不清就不能很好地发挥活动目录的优

越性。在这里选择根域（就是一个系统的基本域）是一个关键，根域名字

的选择可以有以下几种方案：

Ⅰ可以使用一个已经注册的DNS 域名作为活动目的根域名，这样的好处在于企业的公共网络和私有网络使用同样的DNS名字。

Ⅱ我们还可使用一个已经注册的DNS域名的子域名作为活动目录的根域名。

Ⅲ为活动目录选择一个与已经注册的DNS域名完全不同的域名。这样可以使企业网络在内部和互联网上呈现出两种完全不同的命名结构。

Ⅳ把企业网络的公共部分用一个已经注册的DNS域名进行命名，而私有网络用另一

个内部域名，从名字空间上把两部分分开，这样做就使得每一部分要访问另部时必须使用对方的名字空间来标识对象。

③再一个就是要进行域和帐户命名策划，因为使用活动目录的意义之一就在于使内、

外部网络使用统一的目录服务，采用统一的命名方案，以方便网络管理和商务往来。活动目录域名通常是该域的完整DNS名称，但是为确保向下兼容，每个域最好还有一个WIN2K 以前版本的名称，以便在运行WIN2K以前版本的操作系统的计算机上使用。用户帐户在活动目录中，每个用户帐户都有一个用户登录名、一个WIN2K以前版本的用户登录名（安全帐户管理器的帐户名）和一个用户主要名称后缀。在创建用户帐户时，管理员输入其登录名并选择用户主要名称，活动目录建议WIN2K 以前版本的用户登录名使用此用户登录名的前20 个字节。活动目录命名策略是企业规划网络系统的第一个步骤，命名策略直接影响到网络的基本结构，甚至影响网络的性能和可扩展性。活动目录为现代企业提供了很好的参考模型，既考虑到了企业的多层次结构，也考虑到了企业的分布式特性，甚至为直接接入Internet提供完全一致的命名模型。

所谓用户主要名称是指由用户账户名称和表示用户账户所在的域的域名组成。这是登录到WIN2K 域的标准用法。标准格式为：user@ (象个人的电子邮件地址)。但不要在用户登录名或用户主要名称中加入@ 号。活动目录在创建用户主要名称时自动添加此符号。包含多个@ 号的用户主要名称是无效的。

在活动目录中，默认的用户主要名称后缀是域树中根域的DNS名。如果用户的单位使用由部门和区域组成的多层域树，则对于底层用户的域名可能很长。对于该域中的用户，默认的用户主要名称可能是。该域中用户默认的登录名可能是

user@ 。这要一来用户登录时就要输入的用户名可能太长，输入起来就非常不方便，WIN2K为了解决这一问题，规定在创建主要名称后用户只要在根域后加上相应的用户名，使同一用户使用更简单的登录名user@ 就可以登录，而不是前面所提到的那一长串。

④最后就是要注意设置规划好域间的信任关系，对于WIN2K计算机，通过基于Kerberos V5 安全协议的双向、可传递信任关系启用域之间的帐户验证。在域树中创建域时，相邻域（父域和子域）之间自动建立信任关系。在域林中，在树林根域和添加到树林的每个域树的根域之间自动建立信任关系。如果这些信任关系是可传递的，则可以在域树或域林中的任何域之间进行用户和计算机的身份验证。

如果将WIN2K 以前版本的Windows域升级为WIN2K域时，WIN2K域将自动保留

域和任何其他域之间现有的单向信任关系。包括WIN2K以前版本的Windows域的所有信任关系。如果用户要安装新的WIN2K域并且希望与任何WIN2K以前版本的域建立信任关系，则必须创建与那些域的外部信任关系。

3、活动目录安装

所有的新安装都是安装成为Member Server，如果您在新安装WIN2K SERVER时选择安装了“活动目录”选项，则系统就会出现类似于“如果您此时安装活动目录则系统中的所有域名就不能再次改变……”之类的提示。一般情况下我们在新安装系统时不选择安装活动目录，以便我们有时间来具体规划与活动目录有关的协议和系统结构。目录服务都需要事后用Dcprom o的命令特别安装。目录服务还可以卸载，而不用象在安装Windows NT 4.0那样，一开始就要定终身，系统会区分域控制器还是Member Server，两者之间不可转换。

Dcpromo是一个图形化的向导程序，引导用户一步一步地建立域控制器，可以新建一个域森林，一棵域树，或者仅仅是域控制器的另一个备份，非常方便。很多其他的网络服务，比如DNS Server、DHCP Server和Certificate Server等，都可以在以后与活动目录集成